Sürümüne güncellemelidir. Android geliştiricileri, Dropbox'ın en son SDK'sını

Android uygulamaları IBM'in güvenlik araştırma ekibi, IBM'in güvenlik araştırma ekibine göre, Dropbox'ı depolamak için kullanıyor ve SDK'nın eski bir sürümü kullanılarak oluşturulmuş bir saldırı, IBM güvenlik araştırmacılarına göre Dropbox'ın bir düzeltme yayınlamasına rağmen verileri çalabilen bir saldırıya karşı savunmasız.

kendi Dropbox hesabını, depolama hizmetine bağlanan başka bir kişinin telefonundaki bir Android uygulamasına bağlamanın bir yolunu buldu. Başarılı bir saldırıdan sonra, uygulamanın yüklediği herhangi bir veri saldırganın Dropbox hesabına gönderilir.

Dropbox, hizmetini bir uygulamaya bağlamak için bir SDK (yazılım geliştirme seti) yayınlar. “DroppedIn” lakaplı kusur, Dropbox SDK sürümlerini 1.5.4'ten 1.6.1'e kadar etkiledi ve 1.62'de düzeltildi, IBM bir blog yazısında söyledi.

[Ek okuma: Windows PC'nizden kötü amaçlı yazılım nasıl kaldırılır]

Saldırı ciddi olsa da, yürütmek kolay değildir. Ayrıca, bir kişinin kendi Dropbox'ın kendi mobil uygulamasının kendi telefonunda yüklü olması ve bir Dropbox hesabının tüm içeriğine bir saldırganın erişmesine izin verilmemesi de işe yaramaz.

Dropbox, sorunun görünmediğini söyledi. bilgisayar korsanlarının veriye erişmesi için kullanıldı ve SDK kullanan popüler uygulamaların çoğu yamalıydı.

Saldırganın önce uygulamayı indirip yetkilendirerek yapılabilecek bir Dropbox özellikli uygulama için erişim belirteci edinmesi gerekiyor. Kendi Dropbox hesabı için.

Saldırgan, bir kullanıcıyı kötü amaçlı kod içeren bir web sitesine veya web sayfasına çekmelidir. Kod, kurbanın telefonundan, bir hesabı bağlamak için kimlik doğrulama sürecinin bir parçası olarak kullanılan, “nonce” olarak bilinen büyük bir şifreleme numarası alır. Erişim kodu ve nonce ile, saldırgan kendi Dropbox hesabını kurbanın Android uygulamasına bağlayabilir.

Kullanıcıların saldırıya uğradıklarını anlayabilmelerinin bir yolu, bir PC kullanarak Dropbox'a giriş yaparak ve dosya olup olmadığını kontrol etmektir. IBM, orada olmayan Dropbox'ı kullanarak bir mobil uygulama tarafından kaydedilmiş olması gerektiğini yazdı. Dropbox'ın SDK'sını kullanan pek çok Android uygulaması olmadığını, ancak Microsoft'un Office Mobile ve AgileBits'in 1Password'ı dahil olmak üzere birkaç popüler uygulamanın olduğunu belirtti.

Bazı etkilenen Android uygulamaları hızlı bir şekilde güncellenemeyebilir, savunmanın en iyi yolu Saldırıya karşı, IBM'in “sömürüyü olanaksız kılan” Dropbox'ın mobil sürümünü indirmek olduğunu yazdı.